Техническая информация
Вредоносные функции
Загружает
- http://officecdn.microsoft.com/pr/5030841d-c919-4594-8d2d-84ae4f96e58e/office/data/v32.cab как %temp%\over2443851\v32.cab
- http://officecdn.microsoft.com/pr/5030841d-c919-4594-8d2d-84ae4f96e58e/office/data/v32.cab как %temp%\over4275080\v32.cab
- http://officecdn.microsoft.com/pr/5030841d-c919-4594-8d2d-84ae4f96e58e/office/data/v32.cab как %temp%\over4418633\v32.cab
- http://officecdn.microsoft.com/pr/5030841d-c919-4594-8d2d-84ae4f96e58e/office/data/v32.cab как %temp%\over2987584\v32.cab
- http://officecdn.microsoft.com/pr/5030841d-c919-4594-8d2d-84ae4f96e58e/office/data/v32.cab как %temp%\over5968865\v32.cab
- http://officecdn.microsoft.com/pr/5030841d-c919-4594-8d2d-84ae4f96e58e/office/data/v32.cab как %temp%\over8736092\v32.cab
- http://officecdn.microsoft.com/pr/5030841d-c919-4594-8d2d-84ae4f96e58e/office/data/v32.cab как %temp%\over9128337\v32.cab
- http://officecdn.microsoft.com/pr/5030841d-c919-4594-8d2d-84ae4f96e58e/office/data/v32.cab как %temp%\over3951506\v32.cab
- http://officecdn.microsoft.com/pr/5030841d-c919-4594-8d2d-84ae4f96e58e/office/data/v32.cab как %temp%\over6758580\v32.cab
- http://officecdn.microsoft.com/pr/5030841d-c919-4594-8d2d-84ae4f96e58e/office/data/v32.cab как %temp%\over5688784\v32.cab
- http://officecdn.microsoft.com/pr/5030841d-c919-4594-8d2d-84ae4f96e58e/office/data/v32.cab как %temp%\over6096543\v32.cab
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\files\setup.exe
- <Текущая директория>\files\files.dat
- <Текущая директория>\files\uninstall.xml
- <Текущая директория>\files\x64\cleanospp.exe
- <Текущая директория>\files\x64\msvcr100.dll
- <Текущая директория>\files\x86\cleanospp.exe
- <Текущая директория>\files\x86\msvcr100.dll
- <Текущая директория>\files\configure.xml
- %TEMP%\over2443851\v32.cab
- %TEMP%\over2443851\$dpx$.tmp\a8b8dd4bce418f48b1dff7d05cb7c5dd.tmp
- %TEMP%\over2443851\v32.txt
- %TEMP%\over4275080\v32.cab
- %TEMP%\over4275080\$dpx$.tmp\e48ce406c2520f499fbaa4bed79c7d39.tmp
- %TEMP%\over4275080\v32.txt
- %TEMP%\over4418633\v32.cab
- %TEMP%\over4418633\$dpx$.tmp\6080164f79e73044b67766a7ab196aea.tmp
- %TEMP%\over4418633\v32.txt
- %TEMP%\over2987584\v32.cab
- %TEMP%\over2987584\$dpx$.tmp\bf959f22d8fc134c958bbefd8e5eb800.tmp
- %TEMP%\over2987584\v32.txt
- %TEMP%\over5968865\v32.cab
- %TEMP%\over5968865\$dpx$.tmp\fb909efd20a0984a8bd22dea2323c709.tmp
- %TEMP%\over5968865\v32.txt
- %TEMP%\over8736092\v32.cab
- %TEMP%\over8736092\$dpx$.tmp\0d6bf4345894694c948d3f3087e7d0a8.tmp
- %TEMP%\over8736092\v32.txt
- %TEMP%\over9128337\v32.cab
- %TEMP%\over9128337\$dpx$.tmp\ca8d3cca699728498f4ce9ce32903149.tmp
- %TEMP%\over9128337\v32.txt
- %TEMP%\over3951506\v32.cab
- %TEMP%\over3951506\$dpx$.tmp\fd597e26ae9ca64a896156459c3e6c58.tmp
- %TEMP%\over3951506\v32.txt
- %TEMP%\over6758580\v32.cab
Удаляет следующие файлы
- <Текущая директория>\files\files.dat
- <Текущая директория>\files\configure.xml
- <Текущая директория>\files\setup.exe
- %TEMP%\over2443851\v32.cab
- %TEMP%\over2443851\v32.txt
- %TEMP%\over2443851\versiondescriptor.xml
- %TEMP%\over4275080\v32.cab
- %TEMP%\over4275080\v32.txt
- %TEMP%\over4275080\versiondescriptor.xml
- %TEMP%\over4418633\v32.cab
- %TEMP%\over4418633\v32.txt
- %TEMP%\over4418633\versiondescriptor.xml
- %TEMP%\over2987584\v32.cab
- %TEMP%\over2987584\v32.txt
- %TEMP%\over2987584\versiondescriptor.xml
- %TEMP%\over5968865\v32.cab
- %TEMP%\over5968865\v32.txt
- %TEMP%\over5968865\versiondescriptor.xml
- %TEMP%\over8736092\v32.cab
- %TEMP%\over8736092\v32.txt
- %TEMP%\over8736092\versiondescriptor.xml
- %TEMP%\over9128337\v32.cab
- %TEMP%\over9128337\v32.txt
- %TEMP%\over9128337\versiondescriptor.xml
- %TEMP%\over3951506\v32.cab
- %TEMP%\over3951506\v32.txt
- %TEMP%\over3951506\versiondescriptor.xml
- %TEMP%\over6758580\v32.cab
Перемещает следующие файлы
- %TEMP%\over2443851\$dpx$.tmp\a8b8dd4bce418f48b1dff7d05cb7c5dd.tmp в %TEMP%\over2443851\versiondescriptor.xml
- %TEMP%\over4275080\$dpx$.tmp\e48ce406c2520f499fbaa4bed79c7d39.tmp в %TEMP%\over4275080\versiondescriptor.xml
- %TEMP%\over4418633\$dpx$.tmp\6080164f79e73044b67766a7ab196aea.tmp в %TEMP%\over4418633\versiondescriptor.xml
- %TEMP%\over2987584\$dpx$.tmp\bf959f22d8fc134c958bbefd8e5eb800.tmp в %TEMP%\over2987584\versiondescriptor.xml
- %TEMP%\over5968865\$dpx$.tmp\fb909efd20a0984a8bd22dea2323c709.tmp в %TEMP%\over5968865\versiondescriptor.xml
- %TEMP%\over8736092\$dpx$.tmp\0d6bf4345894694c948d3f3087e7d0a8.tmp в %TEMP%\over8736092\versiondescriptor.xml
- %TEMP%\over9128337\$dpx$.tmp\ca8d3cca699728498f4ce9ce32903149.tmp в %TEMP%\over9128337\versiondescriptor.xml
- %TEMP%\over3951506\$dpx$.tmp\fd597e26ae9ca64a896156459c3e6c58.tmp в %TEMP%\over3951506\versiondescriptor.xml
Подменяет следующие файлы
- <Текущая директория>\files\configure.xml
- <Текущая директория>\files\setup.exe
Сетевая активность
Подключается к
- 'officecdn.microsoft.com':80
TCP
Запросы HTTP GET
- http://officecdn.microsoft.com/pr/5030841d-c919-4594-8d2d-84ae4f96e58e/Office/Data/v32.cab
UDP
- DNS ASK officecdn.microsoft.com
Другое
Создает и запускает на исполнение
- '<Текущая директория>\files\files.dat' -y -pkmsauto
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over2443851\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt }
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over4275080\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt }
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over4418633\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt }
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over2987584\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt }
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over5968865\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt }
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over8736092\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt }
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over9128337\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt }
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over3951506\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt }
Запускает на исполнение
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Script Host\Settings" /v Enabled /t REG_DWORD /d 1 /f (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /D /c files.dat -y -pkmsauto (со скрытым окном)
- '%WINDIR%\syswow64\expand.exe' v32.cab -F:VersionDescriptor.xml %TEMP%\over2443851 (со скрытым окном)
- '%WINDIR%\syswow64\expand.exe' v32.cab -F:VersionDescriptor.xml %TEMP%\over4275080 (со скрытым окном)
- '%WINDIR%\syswow64\expand.exe' v32.cab -F:VersionDescriptor.xml %TEMP%\over4418633 (со скрытым окном)
- '%WINDIR%\syswow64\expand.exe' v32.cab -F:VersionDescriptor.xml %TEMP%\over2987584 (со скрытым окном)
- '%WINDIR%\syswow64\expand.exe' v32.cab -F:VersionDescriptor.xml %TEMP%\over5968865 (со скрытым окном)
- '%WINDIR%\syswow64\expand.exe' v32.cab -F:VersionDescriptor.xml %TEMP%\over8736092 (со скрытым окном)
- '%WINDIR%\syswow64\expand.exe' v32.cab -F:VersionDescriptor.xml %TEMP%\over9128337 (со скрытым окном)
- '%WINDIR%\syswow64\expand.exe' v32.cab -F:VersionDescriptor.xml %TEMP%\over3951506 (со скрытым окном)
- '%WINDIR%\syswow64\expand.exe' v32.cab -F:VersionDescriptor.xml %TEMP%\over6758580 (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over6758580\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt } (со скрытым окном)
- '%WINDIR%\syswow64\expand.exe' v32.cab -F:VersionDescriptor.xml %TEMP%\over5688784 (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over5688784\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt } (со скрытым окном)
- '%WINDIR%\syswow64\expand.exe' v32.cab -F:VersionDescriptor.xml %TEMP%\over6096543 (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { (New-Object Net.WebClient).DownloadFile('http://officecdn.microsoft.com/pr/5030841d-c919-4594-8d2d-84ae4f96e58e/Office/Data/v32.cab', '%TEMP%\over2443851\v32.cab') }" (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over2443851\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt } (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { (New-Object Net.WebClient).DownloadFile('http://officecdn.microsoft.com/pr/5030841d-c919-4594-8d2d-84ae4f96e58e/Office/Data/v32.cab', '%TEMP%\over4275080\v32.cab') }" (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over4275080\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt } (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { (New-Object Net.WebClient).DownloadFile('http://officecdn.microsoft.com/pr/5030841d-c919-4594-8d2d-84ae4f96e58e/Office/Data/v32.cab', '%TEMP%\over4418633\v32.cab') }" (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over4418633\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt } (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { (New-Object Net.WebClient).DownloadFile('http://officecdn.microsoft.com/pr/5030841d-c919-4594-8d2d-84ae4f96e58e/Office/Data/v32.cab', '%TEMP%\over2987584\v32.cab') }" (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over2987584\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt } (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { (New-Object Net.WebClient).DownloadFile('http://officecdn.microsoft.com/pr/5030841d-c919-4594-8d2d-84ae4f96e58e/Office/Data/v32.cab', '%TEMP%\over5968865\v32.cab') }" (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over5968865\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt } (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { (New-Object Net.WebClient).DownloadFile('http://officecdn.microsoft.com/pr/5030841d-c919-4594-8d2d-84ae4f96e58e/Office/Data/v32.cab', '%TEMP%\over8736092\v32.cab') }" (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over8736092\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt } (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { (New-Object Net.WebClient).DownloadFile('http://officecdn.microsoft.com/pr/5030841d-c919-4594-8d2d-84ae4f96e58e/Office/Data/v32.cab', '%TEMP%\over9128337\v32.cab') }" (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over9128337\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt } (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { (New-Object Net.WebClient).DownloadFile('http://officecdn.microsoft.com/pr/5030841d-c919-4594-8d2d-84ae4f96e58e/Office/Data/v32.cab', '%TEMP%\over3951506\v32.cab') }" (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { Get-Content %TEMP%\over3951506\VersionDescriptor.xml | Set-Content -Encoding ASCII v32.txt } (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { (New-Object Net.WebClient).DownloadFile('http://officecdn.microsoft.com/pr/5030841d-c919-4594-8d2d-84ae4f96e58e/Office/Data/v32.cab', '%TEMP%\over6758580\v32.cab') }" (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { (New-Object Net.WebClient).DownloadFile('http://officecdn.microsoft.com/pr/5030841d-c919-4594-8d2d-84ae4f96e58e/Office/Data/v32.cab', '%TEMP%\over5688784\v32.cab') }" (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "& { (New-Object Net.WebClient).DownloadFile('http://officecdn.microsoft.com/pr/5030841d-c919-4594-8d2d-84ae4f96e58e/Office/Data/v32.cab', '%TEMP%\over6096543\v32.cab') }" (со скрытым окном)
